Uppfletting í sjúkraskrá
Ákvörðun
Hinn 26. október 2016 tók stjórn Persónuverndar svohljóðandi ákvörðun í máli nr. 2015/1093:
I.
Málavextir og bréfaskipti
Hinn 17. ágúst 2015 barst Persónuvernd afrit af erindi [A] (hér eftir nefnd „kvartandi“) til Landspítala hinn 12. s.m. þar sem hún gerði athugasemdir við tilteknar uppflettingar í sjúkraskrá hennar. Nánar tiltekið kemur þar fram að fyrrverandi eiginmaður hennar, sem sé læknir [...] spítalans [...], hafi í nokkur skipti farið í sjúkraskrá hennar eftir að þau skildu. Í þau skipti, sem hún hafi þurft að leita til [...], hafi hún hins vegar tekið skýrt fram að ef hann væri á vakt mætti hann ekki koma nálægt málum hennar. Lýsir kvartandi þeirri afstöðu að fulljóst sé að hann hafi með ásetningi og vilja opnað sjúkraskrár hennar og brotið gróflega gegn persónuverndarhagsmunum hennar, sbr. 4. mgr. 22. gr. laga nr. 55/2009 um sjúkraskrár. Þá segir í erindi kvartanda að gert sé ráð fyrir að farið verði með málið sem slíkt.
Hinn 16. desember 2015 óskaði Persónuvernd eftir því í tölvupósti að Landspítali greindi frá meðferð framangreinds erindis. Spítalinn svaraði hinn 21. s.m. og greindi frá því að niðurstaða lægi fyrir um uppflettingarnar. Samkvæmt svarinu var um að ræða fjórar uppflettingar og taldi spítalinn eina þeirra hafa verið óheimila. Í hinum þremur tilfellunum hefði hins vegar verið um að ræða eðlilegar skýringar á opnun sjúkraskrár.
Hinn 7. janúar 2016 óskaði Persónuvernd eftir því í tölvupósti að kvartandi upplýsti um hvort hún teldi að með framangreindu hefði Landspítalinn brugðist við athugasemdum hennar með fullnægjandi hætti. Sú ósk Persónuverndar var ítrekuð hinn 29. s.m. Kvartandi svaraði í tölvupósti hinn 18. mars 2016, en í svari hennar kemur fram að hún telur þá niðurstöðu Landspítalans ófullnægjandi að þrjár af umræddum uppflettingum hafi átt sér eðlilegar skýringar og krefst þess að hún verði endurskoðuð. Í tölvupósti hinn 12. apríl 2016 staðfesti hún við Persónuvernd að í þessu fælist kvörtun sem hún óskaði úrlausnar stofnunarinnar um.
Með vísan til þessa sendi Persónuvernd Landspítalanum bréf, dags. 17. maí 2016, ítrekað með bréfi, dags. 23. júní s.á., þar sem spítalanum var veitt færi á að tjá sig um framkomna kvörtun. Spítalinn svaraði með bréfi, dags. 11. júlí 2016. Þar segir meðal annars að í því máli, sem hér er til umfjöllunar, hafi spítalanum borist tilkynning frá kvartanda þess efnis að starfsmaður spítalans, sem ekki hafi verið meðferðaraðili hennar, hafi opnað sjúkraskrá hennar í óleyfi. Málið hafi verið sent eftirlitsnefnd um sjúkraskrár sem hafi kannað hvort skýringar væru skráðar á hinum tilteknu uppflettingum starfsmannsins sem sé læknir [...]. Þá segir:
„Þar sem kvartandi hafði leitað á [Landspítalann] á síðustu 6 mánuðum áður en starfsmaðurinn opnaði skrána voru til staðar skilgreind meðferðartengsl í kerfinu út frá staðsetningu starfsmannsins. Hins vegar var ekki að finna skýringar á því hvers vegna starfsmaðurinn opnaði þessa tilteknu sjúkraskrá og var málið því sent viðkomandi framkvæmdastjóra til frekari úrlausnar. Framkvæmdastjóri [þess sviðs sem starfsmaðurinn starfar á] boðaði starfsmanninn á fund vegna hugsanlegra ávirðinga í starfi. Á fundinum upplýsti starfsmaðurinn að í þrjú skipti af fjórum hefði hann opnað sjúkraskrá kvartanda samkvæmt munnlegri beiðni hennar og m.a. í eitt skipti skrifað fyrir hana lyfseðil. Í eitt skipti hefði hann hins vegar opnað sjúkraskrá hennar þar sem hann hafði af henni áhyggjur án þess að hafa fengið leyfi til þess. Þar sem fyrir lá að starfsmaðurinn hafði opnað sjúkraskrá kvartanda í a.m.k. eitt skipti án samþykkis var áminningarforsenda til staðar og þótti því ekki ástæða til þess að kanna sérstaklega hvort kvartandi hefði gefið heimild til þess að sjúkraskrá hennar yrði opnuð í hinum tilvikunum. Í kjölfarið var starfsmaðurinn áminntur fyrir brot í starfi þar sem háttsemin var ekki í samræmi við reglur Landspítala um aðgangsheimildir starfsmanna að heilsufarsupplýsingum sem varðveittar eru með rafrænum hætti. Ítrekun á broti sem þessu getur varðað uppsögn, sbr. 44. gr. laga nr. 70/1996.“
Með bréfi, dags. 19. júlí 2016, veitti Persónuvernd kvartanda færi á að tjá sig um þetta svar. Hún svaraði í tölvupósti hinn 9. ágúst s.á. Þar er farið fram á að málið verði kært til lögreglu. Þá segir að svör fyrrnefnds læknis um hvers vegna hann hafi flett henni upp séu ekki sönn. Að auki segir meðal annars:
„Það er mjög alvarlegt að fyrrverandi maður minn sem er starfsmaðurinn í þessu tilfelli hafi ekki bara 1x heldur 4x flett mér upp í sjúkraskrá. Í hvaða tilgangi? Staðan er mjög viðkvæm, hatrammur skilnaður og kannski hægt að nýta sér þessar viðkvæmu upplýsingar með einhverjum annarlegum hætti. Það liggur í augum uppi að þessi ítrekaði verknaður er mjög alvarlegur. Jafnframt lítur út fyrir að Landspítali hafi unnið málið illa og ekki litið það alvarlegum augum, heldur sópað því undir teppið.“
Með bréfi til Landspítala, dags. 20. október 2016, óskaði Persónuvernd þess að spítalinn upplýsti um hvort settar hefðu verið reglur um verklag þegar á spítalanum eru til meðferðar sjúklingar sem eru eða hafa verið nánir aðstandendur starfsmanns. Svarað var með bréfi, dags. 25. október 2016. Segir þar að svo sé ekki en hins vegar vísað til þess að í lögum er að finna ákvæði sem líta verður til í þessu sambandi, þ.e. d-lið 1. mgr. og 2. mgr. 5. gr., 20. gr. og 21. gr. laga nr. 74/1997 um réttindi sjúklinga, sem og 1. og 2. mgr. 13. gr. laga nr. 34/2012 um heilbrigðisstarfsmenn. Að auki er vísað til 19. gr. siðareglna Læknafélags Íslands.
Í tölvupósti til Landspítala hinn 24. október 2016 óskaði Persónuvernd þess að fram kæmi hvort einhver skráning lægi fyrir um að kvartandi hefði andmælt því að umræddur læknir kæmi að meðferð hennar. Hinn 25. s.m. barst svar þess efnis að framkvæmdastjóri lækninga á spítalanum hefði kannað hvort skráningu þess efnis væri að finna í sjúkraskrá og ekki fundið.
II.
Forsendur og niðurstaða
1.
Lög nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga gilda um sérhverja rafræna vinnslu persónuupplýsinga og handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrá, sbr. 1. mgr. 3. gr. laganna. Persónuupplýsingar eru skilgreindar í 1. tölul. 2. gr. laganna sem sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Hugtakið vinnsla er skilgreint sem sérhver aðgerð eða röð aðgerða þar sem unnið er með persónuupplýsingar, hvort heldur vinnslan er handvirk eða rafræn, sbr. 2. tölul. 2. gr. laganna. Af þessu öllu er ljóst að mál þetta lýtur að vinnslu persónuupplýsinga sem fellur undir valdsvið Persónuverndar.
Sá sem ber ábyrgð á að vinnsla persónuupplýsinga samrýmist lögum nr. 77/2000 er nefndur ábyrgðaraðili. Samkvæmt 4. tölul. 2. gr. laganna er þar átt við þann sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna. Eins og hér háttar til telst Landspítali vera ábyrgðaraðili að umræddri vinnslu.
2.
Með vísan til 4. mgr. 22. gr. laga nr. 55/2009 um sjúkraskrár hefur kvartandi farið fram á að Persónuvernd kæri mál þetta til lögreglu. Í því ákvæði segir að leiði eftirlit í ljós að verulegar líkur séu á að brotið hafi verið gegn persónuverndarhagsmunum sjúklings skuli brot kært til lögreglu, sem og meðal annars að slík kæra stöðvi ekki athugun samkvæmt lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Í þessu sambandi er til þess að líta að ekki kemur fram hver skuli kæra brot til lögreglu samkvæmt ákvæðinu, þ.e. hvort sú skylda hvíli á viðkomandi heilbrigðisstofnun eða starfsstofu heilbrigðisstarfsmanns, Embætti landlæknis eða Persónuvernd. Einnig er til þess að líta að almennt er það ekki hlutverk stjórnvalda að kæra mál til lögreglu fyrir hönd tiltekinna einstaklinga. Þá skal bent á að sé það Persónuverndar að senda kæru samkvæmt umræddu ákvæði virðist gert ráð fyrir að það sé gert á meðan mál er enn til meðferðar hjá stofnuninni á grundvelli laga nr. 77/2000, sbr. það sem fyrr segir um að kæra stöðvi ekki athugun samkvæmt þeim lögum. Ljóst er hins vegar að slíkt getur haft áhrif á hæfi stofnunarinnar samkvæmt 3. gr. stjórnsýslulaga nr. 37/1993 til að leiða mál til lykta, enda mætti túlka kæru á grundvelli umrædds ákvæðis sem fyrirframgefna afstöðu til efnis máls. Þegar til þessa er litið telur Persónuvernd það ekki falla í sinn hlut að kæra mál samkvæmt umræddu ákvæði. Jafnframt skal hins vegar tekið fram að stofnunin er bær til að kveða upp úrskurð í málinu á grundvelli 2. mgr. 37. gr. laga nr. 77/2000 þar sem fram kemur að hún getur fjallað um mál bæði samkvæmt erindi frá hinum skráða, sem og að eigin frumkvæði.
3.
Upplýsingar í sjúkraskrám hafa að geyma upplýsingar um heilsuhagi, en slíkar upplýsingar eru viðkvæmar, sbr. c-lið 9. tölul. 2. gr. laga nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga. Svo að vinna megi með viðkvæmar persónuupplýsingar þarf að vera fullnægt einhverri af kröfum 1. mgr. 9. gr. þeirra laga. Þá þarf vinnslan að samrýmast einhverju af hinum almennu skilyrðum fyrir vinnslu persónuupplýsinga, viðkvæmra sem annarra, sem mælt er fyrir um í 1. mgr. 8. gr. sömu laga.
Vinnsla sjúkraskrárupplýsinga vegna meðferðar getur átt stoð í meðal annars 8. tölul. 1. mgr. 9. gr. laga nr. 77/2000, þess efnis að vinna megi með viðkvæmar persónuupplýsingar sé það nauðsynlegt vegna læknismeðerðar eða vegna venjubundinnar stjórnsýslu á sviði heilbrigðisþjónustu. Af ákvæðum 1. mgr. 8. gr. laganna getur hér meðal annars átt við 7. tölul., þess efnis að vinnsla persónuupplýsinga sé heimil sé hún nauðsynleg til að gæta lögmætra hagsmuna nema grundvallarréttindi og frelsi hins skráða vegi þyngra. Þá er ljóst að vinnsla sjúkraskrárupplýsinga í þágu meðferðar getur byggst á samþykki, sbr. 1. tölul. 1. mgr. 9. gr. og 1. tölul. 1. mgr. 8. gr. laga nr. 77/2000.
Einnig þarf, við vinnslu persónuupplýsinga, að gæta öryggis upplýsinganna í samræmi við 11. gr. laga nr. 77/2000. Samkvæmt 1. mgr. þeirrar greinar ber að gera viðeigandi tæknilegar og skipulagslegar öryggisráðstafanir til að vernda persónuupplýsingar gegn ólöglegri eyðileggingu, gegn því að þær glatist eða breytist fyrir slysni og gegn óleyfilegum aðgangi. Þá segir í 5. mgr. sömu greinar að sá sem ábyrgð ber á vinnslu persónuupplýsinga skuli skrá með hvaða hætti hann mótar öryggisstefnu, gerir áhættumat og ákveður öryggisráðstafanir. Einnig ber að virða reglur Persónuverndar nr. 299/2001 um öryggi persónuupplýsinga. Í 3. gr. þeirra er að finna frekari fyrirmæli um upplýsingaöryggi. Þá kemur meðal annars fram í 5. gr. reglnanna að skilgreina skuli með skýrum hætti hlutverk og skyldur hvers starfsmanns sem hefur aðgang að persónuupplýsingum, sem og að gera skuli nauðsynlegar ráðstafanir til þess að starfsmönnum sé með reglubundnum hætti gerð grein fyrir starfsskyldum sínum og þeim afleiðingum sem það getur haft í för með sér að brjóta þær, sbr. 3. og 4. tölul. ákvæðisins.
Auk ákvæða um heimildir fyrir vinnslu samkvæmt 8. og 9. gr. laga nr. 77/2000, sem og um öryggi persónuupplýsinga samkvæmt 11. gr. sömu laga, þarf ávallt að fara að öllum grunnkröfum 1. mgr. 7. gr. laganna þegar unnið er með persónuupplýsingar. Á meðal þeirra er að slíkar upplýsingar skuli unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra skuli vera í samræmi við vandaða vinnsluhætti persónuupplýsinga, sbr. 1. tölul. ákvæðisins. Við mat á því hvort unnið sé í samræmi við þá kröfu, sem og önnur ákvæði laga nr. 77/2000, getur þurft að líta til ákvæða í öðrum lögum sem á kann að reyna. Eins og hér háttar til reynir þá meðal annars á lög nr. 55/2009 um sjúkraskrár. Segir í 2. gr. þeirra laga að við færslu og varðveislu sjúkraskráa og aðgang að þeim skuli mannhelgi og sjálfsákvörðunarréttur sjúklinga virtur, þess gætt að sjúkraskrár hafa að geyma viðkvæmar persónuupplýsingar og að sjúkraskrárupplýsingar eru trúnaðarmál. Þá segir meðal í 1. mgr. 13. gr. laganna að heilbrigðisstarfsmenn, sem koma að meðferð sjúklings og þurfa á sjúkraskrárupplýsingum hans að halda vegna meðferðarinnar, skuli hafa aðgang að sjúkraskrá sjúklingsins með takmörkunum samkvæmt ákvæðum laganna og reglna settra á grundvelli þeirra.
Við mat á þeirri kröfu 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000 að vinnsla persónuupplýsinga skuli vera sanngjörn og samrýmast vönduðum vinnsluháttum getur einnig, eftir atvikum, þurft að horfa til þess hver sé venjubundin framkvæmd góðra og gegnra aðila á viðkomandi sviði. Getur meðal annars reynt á siðareglur fagstétta í því sambandi. Eins og hér háttar til reynir þá á siðareglur Læknafélags Íslands, samþykktar árið 2005, en samkvæmt 10. gr. þeirra skal læknir hafa það hugfast að náin persónuleg kynni við sjúkling geta haft áhrif á dómgreind hans og faglegt sjálfstæði. Segir að læknir ætti því almennt að forðast að bera ábyrgð á læknismeðferð náinna vandamanna sinna. Í þessu sambandi má geta þess að lög hafa að geyma tilvísun til siðareglna sem heilbrigðisstéttir setja sér, sbr. 2. mgr. 13. gr. laga nr. 34/2012 um heilbrigðisstarfsmenn þar sem meðal annars kemur fram að heilbrigðisstarfsmaður skal þekkja siðareglur sínar.
Hvað þær þrjár uppflettingar í sjúkraskrá varðar, sem óskað er úrlausnar Persónuverndar um, er til þess að líta að í reglur Landspítala um sjúkraskráraðgang skortir ákvæði um verklag þegar til meðferðar eru sjúklingar sem eru eða hafa verið nánir aðstandendur starfsmanns. Hins vegar er ljóst að við slíkar aðstæður er starfsfólk í heilbrigðisþjónustu bundið af viðeigandi ákvæðum í siðareglum fagstétta. Um það hvernig atvikum hafi verið háttað, þegar uppflettingarnar áttu sér stað, stendur orð gegn orði, þ.e. annars vegar að fyrir hafi legið munnleg beiðni kvartanda um uppflettingarnar og hins vegar að kvartandi hafi óskað þess sérstaklega að viðkomandi læknir kæmi ekki að meðferð hennar. Hefur Persónuvernd ekki yfir að ráða úrræðum til að leysa úr ágreiningi sem þessum um staðreyndir og þar með um umkvörtunarefnið í máli þessu. Verður því hér ekki tekin efnisleg afstaða til þess.
Hins vegar skal tekið fram að samkvæmt áðurnefndu ákvæði 1. tölul. 1. mgr. 7. gr. laga nr. 77/2000, sbr. einnig 5. mgr. 11. gr. sömu laga, er nauðsynlegt að reglur, sem settar eru um sjúkraskráraðgang innan heilbrigðisstofnana og starfsstofa heilbrigðisstarfsmanna, mæli fyrir um verklag þegar um ræðir slík tengsl starfsmanna og sjúklinga og fyrr er lýst. Með vísan til 1. mgr. 40. gr. laga nr. 77/2000 er hér með lagt fyrir spítalann að senda Persónuvernd drög að ákvæðum um slíkt verklag eigi síðar en 30. desember nk.
Á k v ö r ð u n a r o r ð:
Landspítali skal senda Persónuvernd drög að ákvæðum um verklag í tengslum við sjúkraskráraðgang innan spítalans þegar til meðferðar eru sjúklingar sem eru eða hafa verið nánir aðstandendur starfsmanns.